PHPのWindows版のBrotliの脆弱性、8.5.12-1などへの入れ替えとcURL・Guzzleの確かめ方（CVE-2026-111497）

CVEの記録（採番機関はGoogle）によると、Brotli 1.0.3〜1.2.0の展開処理に不備があり、細工した圧縮データを展開すると、メモリの破壊、情報の漏えい、サービス停止、場合によっては任意のコード実行につながるおそれがあります。修正版は1.0.10・1.1.1・1.2.1です。深刻度は、Googleの評価でCVSS 4.0の9.2、NVDの評価でCVSS 3.1の9.8です。[2][4]

PHP公式によると、Windows版ではcURL拡張を通じてこの展開処理に届きます。パッケージに付く部品の一覧（SBOM）では、10月21日に出た8.5.12・8.4.27・8.3.36・8.2.35のWindows版はBrotli 1.2.0を同梱し、-1の版は1.2.1です。10月21日の更新を済ませた環境も、-1の版に入れ替えるまでは対象です。[1][6][7]

Brotliそのものの仕組みと、Python・Node.jsでの確かめ方は、Brotliの脆弱性の記事で説明しています。

PHP公式は、cURLでHTTP応答の自動展開が有効なときに問題の処理に届くとし、cURLの初期設定では無効だが、アプリやHTTPクライアントのライブラリが有効にすることがあると説明しています。有効にする設定はCURLOPT_ENCODING（別名CURLOPT_ACCEPT_ENCODING）です。よく使われるライブラリの初期の動作は、ソースで見ると次のとおりです。[1][8][9][12][16]

GuzzleやWordPressを使うアプリは、何も設定していなくても自動展開が有効です。外部のAPIやWebページから受け取る応答が経路になります（ソースから見た当社の整理）。

米CISAは10月27日（米国時間）、この脆弱性を「Google Brotli」としてKEVに追加しました。対応期限は11月10日です。PHPのWindows版を通じた悪用の記載は、11月1日の確認時点でPHP公式の告知にもKEVにもありません。今後30日に悪用される見込みの推定（EPSS）は82.6%です（10月31日時点、CVEとしての値）。[1][3][13]

セキュリティ会社ELLIO（第三者）は、PoCが公開されていて、それを写したNode.jsを狙う攻撃の通信を観測したと報告しています。PHPのWindows版で動くPoCの記載は、確認した一次情報にはありません。当社はPoCを検証していません。[14]

悪用が確認された脆弱性は、更新に加えて、更新前に攻撃を受けていないかを確認します。

1. 公開していた期間のWebサーバー・アプリケーションのログで、異常終了や不審な要求がないか確認します。
2. 見覚えのないファイル（Webシェルなど）や、設定・アカウントの変更がないか確認します。
3. サーバーから見覚えのない宛先への通信がないか確認します。
4. 痕跡が見つかった場合は、ログや機器の状態を保全し、専門の窓口に相談します。

入れ替え先は、PHP公式の告知と、配布元のWindows版の一覧から出しました（11月1日確認）。

「-1」は依存ライブラリを更新して作り直したことを示し、PHPのソースと実行時の版は変わりません。-2以降の版は出ていません。配布物の一覧は、windows.php.netからdownloads.php.net/~windows/releases/に転送されます。[1][5]

各パッケージには部品の一覧（.cdx.json）と、既知の脆弱性への対応を書いたVEX（.openvex.json）が付きます。8.5.12-1のVEXにはCVE-2026-111497の記載がないので、脆弱性スキャナーの結果は、部品の一覧のBrotliの版と照らし合わせます。8.1はPHPのサポート対象（8.2〜8.5）に入っておらず、8.1.34には部品の一覧もありません。[5][6][11][15]

1. 使っているPHPの場所を確かめます。コマンドラインとWebサーバー（IISのFastCGI、Apacheなど）で別のPHPを使っていることがあるので、Webサーバーの設定に書かれたPHPの場所とも照らし合わせます。

   コマンドプロンプト

   where php

2. 系列と、スレッドセーフ版（TS）か非スレッドセーフ版（NTS）か、x64かx86かを確かめます。入れ替えるzipを選ぶときに使います。

   コマンドプロンプト

   php -v
   php -i | findstr /c:"Thread Safety" /c:"Architecture"

3. cURL拡張が使う同梱Brotliの版を表示します。1.2.1でなければ入れ替えの対象です。

   コマンドプロンプト

   php -r "echo curl_version()['brotli_version'] ?? 'none';"

4. アプリとComposerで入れたライブラリ（vendorフォルダ）で、自動展開を有効にする設定と、Guzzleが入っているかを確かめます。vendor\guzzlehttpに当たるのはGuzzle自身の処理で、Guzzleを使っていれば初期設定で有効です。

   コマンドプロンプト

   findstr /s /i /m "CURLOPT_ENCODING CURLOPT_ACCEPT_ENCODING decode_content" *.php
   composer show guzzlehttp/guzzle

5. 配布元の一覧から、同じ系列・同じ種類（TS／NTS、x64／x86）の-1の版を入手し、SHA-256の値を一覧のsha256sum.txtと照らし合わせます。

   PowerShell

   Get-FileHash .\php-8.5.12-1-nts-Win32-vs17-x64.zip -Algorithm SHA256

6. php.iniを残してPHPのフォルダを入れ替え、Webサーバーを再起動します（IISの例）。そのあと、Webサーバーが使うPHPでもう一度brotli_versionが1.2.1になったことを確かめます。

   コマンドプロンプト（管理者）

   iisreset
   php -r "echo curl_version()['brotli_version'] ?? 'none';"

PHP公式の告知に回避策の記載はありません。条件から見ると、cURLの自動展開を使わなければ経路から外れます。Guzzleでは'decode_content' => falseを指定し、自分のコードではCURLOPT_ENCODINGを設定しないようにします。これは当社の整理で、提供元が示した回避策ではありません。[1][8]

自動展開を止めると、圧縮された応答がそのまま渡り、アプリが読めなくなる場合があります。外部のAPIとの連携を検証環境で確かめてから切り替えます。

PHP公式は10月21日、PHP本体の脆弱性2件（CVE-2026-109618・CVE-2026-109619、報道ではPHP2Shellとも呼ばれます）を直した8.5.12などを公開しました。この2件は10月26日からKEVに載っています。今回の-1の版は、同梱のBrotliを入れ替えたもので、原因も確かめる所も別です。[3][10]

-1の版は8.5.12などと同じソースから作られているので、10月21日より前の版に留まっている環境も、-1の版に入れ替えれば両方の修正が入ります。[1]

PHPの脆弱性情報まとめで、PHP2Shell・追加の設定問題・Brotliの対応を比較することもできます。